CVE-2025-13880
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka WP Social Ninja – Embed Social Feeds, Customer Reviews, Chat Widgets (Google Reviews, YouTube Feed, Photo Feeds, and More) dla WordPressa jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku sprawdzenia uprawnień w funkcjach getAdvanceSettings i saveAdvanceSettings we wszystkich wersjach do 4.0.1 włącznie. Umożliwia to nieuwierzytelnionym atakującym przeglądanie i modyfikowanie zaawansowanych ustawień wtyczki.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zmienić konfigurację wtyczki, co może prowadzić do naruszenia integralności danych lub dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę WP Social Ninja do wersji nowszej niż 4.0.1, jeśli dostępna, lub ogranicz dostęp do funkcji administracyjnych.
Inne podatności w WP Social Ninja
Zobacz wszystkie- CVE-2026-65521Średnie
Wtyczka WP Social Ninja w wersjach do 4.3.0 zawiera podatność na nieuwierzytelniony wyciek wrażliwych danych. Osoba atakująca bez logowania może uzyskać dostęp do poufnych informacji.
- CVE-2025-13007Średnie
Wtyczka WP Social Ninja dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) we wszystkich wersjach do 3.20.3 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych pochodzących ze źródeł zewnętrznych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, pod warunkiem że mogą opublikować złośliwą treść w powiązanym profilu Google Business lub na stronie Facebook.
Oryginalny opis (angielski, źródło NVD)
The WP Social Ninja – Embed Social Feeds, Customer Reviews, Chat Widgets (Google Reviews, YouTube Feed, Photo Feeds, and More) plugin for WordPress is vulnerable to unauthorized access and modification of data due to a missing capability check on the getAdvanceSettings and saveAdvanceSettings functions in all versions up to, and including, 4.0.1. This makes it possible for unauthenticated attackers to view and modify plugin's advanced settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS